Seguridad por números

Hace un par de meses, pregunté en esta columna si la seguridad de TI mala debería convertirse en un delito en sí mismo, mi argumento es que un deber legal de divulgación, ahora aplicado en algunos estados de los Estados Unidos, podría inducir a los mostradores de frijoles a errar al lado de precaución en lugar de barato al pagar medidas de seguridad: mejor gaste unos pocos miles para evitar una multa con varios ceros más si un orificio de seguridad que conoce es explotado. En pocas palabras, criminalice la violación de las reglas de protección de datos.

No me sorprendió del todo cuando este argumento trajo más que la cosecha habitual de nueces de sus conchas y en mi buzón (ya sabes quién eres), aunque la gravedad específica del vitriolo arrojado fue algo más alto de lo esperado, incluso de una comunidad mejor descrito como "loco como una caja de ranas". Desde el equilibrio, estos despotricados surgieron este correo bastante estimulante de Glenn Glidden, gerente de TI en una universidad de educación superior: “Estoy de acuerdo en que el daño de la reputación podría ser una buena palanca para tratar de lograr que las organizaciones cambien las políticas de seguridad, pero no lo harían. Una forma de ser que el gobierno exigirá que los organismos públicos implementen BS7799?"

Él continúa: “Hasta donde sé, no hay un requisito específico. Por supuesto, eso no significa que se aplicará, de ahí mi apoyo a criminalizar tales violaciones de seguridad, doblemente si sabe lo que debería haber hecho."El propio Glenn está abordando el problema utilizando lo que ve como una solución intermedia, el Manual de Seguridad de la Información de UCISA (www.Ucisa.C.A.Reino Unido/Publicaciones/IST.aspx) como base para la política local. Este documento se basa en BS7799 y cubre alrededor del 90% de sus requisitos, pero no puede proporcionar mágicamente tiempo para permitir que Glenn lo implementará, ni puede garantizar que su personal cumpla con él: “Ahí es donde la compulsión legal y gubernamental ayudaría. Soy el único que conduce esto hacia adelante en este momento, de ahí el progreso lento."Glenn agrega:" El tiempo de implementación con el manual sería más rápido si realmente se presentara como una política completa con las listas de verificación de auditoría, por lo que estaba más cerca de un resultado final. Además, una guía del personal de por qué la seguridad era importante sería útil, pero parece faltar."

Lo que me solicita a preguntarle, el lector, ¿está implementando BS7799/ISO27001 y, de ser así, cómo se va y qué recursos ha encontrado más útil?? ¿Qué trampas has encontrado?? Dependiendo de sus respuestas, podría dedicar una columna completa a esto.

En las cosas marrones

El espectáculo anual de Infosecurity Europe ahora está bien detrás de nosotros, pero su legado de comunicados de prensa, encuestas e informes de investigación persiste como un mal olor. Si se calcula algo para elevar mi presión arterial al nivel de peligro, es la encuesta anual que los organizadores de esta conducta del espectáculo durante el período previo, sin duda para publicitar el evento, así como la conciencia de seguridad en general, y que siempre parece involucrar a chocolate. No es la encuesta en sí la que me termina, sino la forma en que hace que la incapacidad del gran público británico sea para obtener la cabeza en el concepto de que sus datos son valiosos y que necesitan desempeñarlo en protegerlo.

Es por eso que me sorprendió gratamente los resultados de la última encuesta, que tuvo lugar fuera de una concurrida estación de ferrocarril de Londres e involucró a un grupo de mujeres bonitas que hicieron preguntas inapropiadas sobre problemas de seguridad de TI personales a cambio de una barra de chocolate. La buena noticia es que las cosas han mejorado, o eso parece, ya que solo el 21% de los solicitados estaban preparados para revelar sus contraseñas de chocolate este año, en comparación con un 64% masivo el año pasado. Curiosamente, (aunque apenas sorprendente dado que mi esposa y todos sus amigos parecen adictas a las cosas) las mujeres tenían cuatro veces más probabilidades de sucumbir a esta forma particular de soborno que los hombres.